ウイルス感染や不正アクセス…中小企業に必要なセキュリティ対策4つ
長期休暇明けはとくにウイルス感染や不正アクセスへの注意が必要です。情報処理推進機構（IPA）や経済産業省は企業に対しサイバー攻撃に遭わないための対策を呼びかけています。中小企業を踏み台にした取引先への攻撃もあり、対応には、経営者の関与も欠かせません。4つの対策や相談窓口を紹介します。
コロナを機にサイバー攻撃の相談急増
新型コロナウイルスの感染拡大でテレワークの利用者が増えるなか、中小企業を含む取引先や海外展開を進める企業の海外拠点などセキュリティの甘い部分を攻撃起点とするサイバー攻撃が増えています。とくに2020年はメールを介してウイルス感染をねらう「Emotet」の相談が急増しました。
Emotetとは
Emotetとは、メールを介してウイルスへの感染を狙うマルウェア（悪意のあるソフトウェア）です。メールの添付ファイルを開いたり、本文中のリンクをクリックしたりすることで感染します。具体的には、実在する氏名、メールアドレス、メールの内容の一部を流用して正規のメールへの返信を装っていたり、業務上開封してしまいそうな巧妙な文面のメールになっていたりしてウイルス感染が広がりました。
2020年10月末以降はいったん沈静化しましたが、情報セキュリティ対策活動に取り組む「JPCERTコーディネーションセンター」は12月21日、Emotet の感染に繋がるメールが配布されていることを確認したと発表しました。
経産省サイバーセキュリティ課によると、盗まれた情報をもとに、取引先や企業の CEO・役員などになりすまし、正規の取引を装って偽の口座に振り込みをさせる詐欺事件も起きました。
ただし、Emotetについては、ユーロポール（欧州刑事警察機構）が2021年1月27日、Emotetに感染したネットワークを破壊したと発表しました。今後、感染先のアンインストールを進める方針です。
海外拠点経由のサイバー攻撃も増加
海外拠点と連携したシステム構築が進むなかで、対策が不十分なまま日本国内のシステムをつなげてしまった結果、海外拠点から不正侵入を許し、国内システム上のファイルに不正アクセスされる事例が出ています。
↓ここから続き
ランサムウェアで身代金要求も
ウイルス感染や不正アクセスにより攻撃起点ができると、攻撃者は情報を盗んだり、データを使用不能にしたりして身代金（ランサム）を要求する「ランサムウェア」といったサイバー攻撃に移ることがあります。
最近では、システムの復旧だけでなく、盗んだデータを公開しない見返りの金銭要求も起きています。ただし、金銭を支払うと、犯罪組織への資金提供とみなされ、制裁を受ける可能性もあります。
長期休暇のセキュリティリスクとは
長期休暇には、システム管理者が長期間不在になり、ウイルス感染や不正アクセス等の被害が起きていても対応が遅れる場合があります。
また、ウイルス感染したパソコンやUSBメモリなどを社内ネットワークに接続してしまったり、休み明けに会社のパソコンのOSやウイルス対策ソフトの更新が滞っていたりするリスクもあります。
4つセキュリティ対策
そこで、IPAは休み明けに対応すべき4つのセキュリティ対策を呼びかけています。
1.修正プログラムの適用
休み期間にOSや各種ソフトの修正プログラムが公開されている場合があります。公開されている場合は更新しましょう。ただし、システム管理者の指示で実施することが望ましいです。
2.定義ファイルの更新
休みの期間に電源を切っていたパソコンは、セキュリティソフトの定義ファイルが更新されていない場合があります。そのため、仕事を始める前に定義ファイルを更新し、最新の状態にしてください。
3.持ち出し機器のウイルスチェック
休み期間に社外に持ち出したパソコンや、USBメモリがウイルスに感染していないか、仕事の前にセキュリティソフトでウイルススキャンしてください。
4.不審なメールに注意
実在の企業などを騙った不審なメールにの添付ファイルを開いたり、本文中のURLにアクセスしたりすることで、ウイルスに感染したり、フィッシングサイトに誘導されたりしてしまう可能性があります。休み期間の後にたまっているメールに対応していくときにはご注意ください。
経営者が取るべき対応
ますます高度化するサイバー攻撃に対し、技術的な対策だけではなく経営判断が求められる場面が増えています。とくに、ランサムウェア攻撃による被害への対応は企業の信頼に関わるため、経営者でなければ判断できない問題です。
経産省はサイバーセキュリティ経営ガイドラインを公表し、情報セキュリティに経営者が関わることを求めています。
相談窓口・注意喚起情報の入手先
最新の情報を入手したり、相談依頼をしたりするための連絡先は以下を参考にしてください。
1.内閣サイバーセキュリティセンター（NISC)
NISCはTwitterでサイバーセキュリティ関連の注意・警戒情報を発信しています。
2.情報処理推進機構（IPA）
情報セキュリティ安心相談窓口では、ウイルスや不正アクセスなど一般的な情報セキュリティに関する技術的な相談を受け付けています。
標的型サイバー攻撃を受けたときは、特別相談窓口に相談してください。
3.JPCERTコーディネーションセンター（JPCERT/CC）
セキュリティの問題が起きてしまった後に被害を最小限にするための対応依頼の窓口もあります。
Flash Playerをアンインストール
2020年12月31日でサポートが終了したAdobe Flash Playerもアンインストールしておきましょう。Adobeはサポート終了情報ページで、すべてのユーザーに対してAdobe Flash Playerをすぐにアンインストールすることを強く推奨しています。
2021年1月12日以降、Adobe Flash PlayerにおけるFlashコンテンツの実行をブロックしますが、ユーザーがアンインストールしない限り、パソコンなどのシステムに残り続けるためです。
Flash PlayerはWeb上で様々な表現を可能にした一方で、脆弱性やセキュリティ上の欠陥が指摘されていました。
不正アクセス以外でも共有設定に注意
そのほか、不正アクセス以外でも、社内のデータが社外から閲覧できる設定になっていないか確認しましょう。
楽天、楽天カード、楽天Edyは、社外のクラウド型営業管理システムに保管された個人情報など148万件分の情報が外部からアクセスできる状態になっていたと2020年12月25日に発表しました。
発表資料によると、社外からアクセス可能だった情報は、楽天市場に資料を請求した事業者や、楽天カードでローンを申請した事業者、電子マネー「楽天Edy」の一部ユーザーらの情報で、計614件の情報が実際に海外からアクセスされていました。原因は「社外のクラウド型営業管理システムの利用におけるセキュリティ設定の不備」と説明しています。
楽天が利用していた「社外のクラウド型営業管理システム」の詳細は公表されていませんが、セールスフォース・ドットコムが同じ日に「当社一部製品をご利用のお客様におけるゲストユーザに対する共有に関する設定について」という内容を発表。
発表資料によれば、社外からのアクセスの原因は「ゲストユーザに対する情報の共有に関する設定が適切に行われていない場合に発生する事象」だったと説明しています。
（続きは会員登録で読めます）
ツギノジダイに会員登録をすると、記事全文をお読みいただけます。
おすすめ記事をまとめたメールマガジンも受信できます。
